Т

Технорадар•IT•AI•ИИ•

IT и технологии · 3 ноября 2026 г.

Открыть канал в MAX

С 2 декабря 2026 года GitHub по умолчанию блокирует запуск сценариев по событию pull_re...

С 2 декабря 2026 года GitHub по умолчанию блокирует запуск сценариев по событию pull_request_target. Изначально расстрел планировали на 2 ноября, но дали ещё месяц починить пайплайны 🔍 Событие позволяет запускать автоматизацию на чужие pull request'ы из форков. Проблема в том, что сценарий выполняется в контексте основного репозитория и видит его секреты, а если при этом выполняется непроверенный код из форка, у любого прохожего есть шанс вытащить секреты или сломать весь CI/CD. Перед окончательным включением GitHub проведёт две репетиционные блокировки: 9 и 16 ноября с 19:00–21:00 мск. В эти окна сценарии, подпадающие под ограничение, не запустятся, а в логах появится запись об ошибке. Сейчас ограничение работает в режиме оценки — админы уже могут глянуть в Policy insights, что именно у них отвалится. Дальше три пути: заменить pull_request_target на более безопасный pull_request, явно разрешить событие через политику (можно ограничить конкретными файлами) или просто оставить блокировку по умолчанию. Ограничение касается только публичных репозиториев на тарифах Free, Team и Enterprise Cloud. Приватные и внутренние уцелеют, Enterprise Server тоже не тронут. По сути, вендор закрывает дыру, которую сто лет разжевывали в каждом security-обзоре, но которая всё равно регулярно всплывала в свежих инцидентах. Если у вас в публичном репо всё ещё жив pull_request_target с чекаутом форка — самое время заглянуть в Policy insights, пока не прилетел новогодний подарок от GitHub. 📲 Подписывайтесь на наш канал в MAX